3 認証

概要

管理 → 認証セクションでは、Zabbixおよび内部パスワード要件に対するグローバルユーザー認証方法を指定できます。使用可能な方法は、内部,HTTP,LDAPおよびSAML認証です。

デフォルト認証

デフォルトでは、Zabbixはすべてのユーザーに内部Zabbix認証を使用します。デフォルトの方法をシステム全体でLDAPに変更したり、特定のユーザーグループに対してのみLDAP認証を有効にしたりすることもできます。

LDAPをすべてのユーザーのデフォルトの認証方法として設定するには、LDAPタブに移動して認証パラメーターを構成してから、認証タブに戻り、デフォルト認証セレクターをLDAPに切り替えます。

認証方法はユーザーグループレベルで微調整できることに注意してください。 LDAP認証がグローバルに設定されている場合でも、一部のユーザーグループをZabbixで認証することもできます。これらのグループではフロントエンドアクセスを内部に設定する必要があります。逆に、内部認証をグローバルに使用する場合は、LDAP認証の詳細を指定して、フロントエンドアクセスがLDAPに設定されている特定のユーザーグループに使用できます。ユーザーが少なくともLDAP認証を使用している1つのユーザーグループに含まれている場合、このユーザーは内部認証方式を使用できません。

デフォルトの認証方法に加えてHTTPおよびSAML 2.0認証方法を使用できます。

認証

認証タブでは、Zabbix内部ユーザーのカスタムパスワード要件を定義できます。

次のパスワードポリシーオプションを設定できます。

パスワードの複雑さの要件を変更しても、既存のユーザーパスワードには影響しませんが、既存のユーザーが管理 → ユーザーメニューからパスワードを変更する場合、新しいパスワードは現在の要件を満たす必要があります。要件のリストを含むヒントが、ユーザープロファイルおよびユーザー構成フォームのPasswordフィールドの横に表示されます。

HTTP認証の設定

HTTPまたはWebサーバーベースの認証（例：Basic認証、NTLM / Kerberos）を使用して、ユーザー名とパスワードを確認できます。ユーザーはZabbixにも存在する必要がありますが、そのZabbixパスワードは使用されないことに注意してください。

設定値:

LDAP認証の設定

外部LDAP認証を使用して、ユーザー名とパスワードを確認できます。ユーザーは Zabbix にも存在している必要がありますが、Zabbix パスワードは使用されないことに注意してください。

Zabbix LDAP認証は、Microsoft Active Directoryおよび OpenLDAPで動作確認を行っています。

パラメータ設定:

SAML認証の設定

SAML 2.0認証を使用して、Zabbixにサインインできます。ユーザーはZabbixに存在する必要がありますが、そのZabbixパスワードは使用されないことに注意してください。認証が成功すると、Zabbixはローカルユーザー名をSAMLによって返されたユーザー名属性と照合します。

IDプロバイダーの設定

SAML IDプロバイダーであるZabbix（(onelogin.com, auth0.com,okta.com,など）を次の方法で設定する必要があります。

• アサーションコンシューマURLは<path_to_zabbix_ui>/index_sso.php?acsに設定する必要があります
• シングルログアウトURLは<path_to_zabbix_ui>/index_sso.php?slsに設定する必要があります

<path_to_zabbix_ui> の例: <https://example.com/zabbix/ui>,<http://another.example.com/zabbix>,<http://><any\_public\_ip\_address>/zabbix

Zabbixのセッティング

SAML 認証を使用するには、Zabbix を次のように設定する必要があります:

1. zabbix.conf.phpでカスタム パスが指定されていない限り、秘密鍵と証明書は ui/conf/certs/ に保存する必要があります。

デフォルトでは、Zabbix は次の場所を検索します。

• ui/conf/certs/sp.key - SP 秘密鍵ファイル
• ui/conf/certs/sp.crt - SP 証明書ファイル
• ui/conf/certs/idp.crt - IDP 証明書ファイル

2. 最も重要な設定はすべて、Zabbix フロントエンドで構成できます。 ただし、設定ファイルで追加設定を指定することも可能です。

Zabbix webインターフェースで利用可能な設定パラメータ:

高度な設定

追加のSAMLパラメーターは、Zabbixフロントエンド設定ファイル(zabbix.conf.php)で設定できます。

• $SSO['SP_KEY'] = '<SP 秘密鍵ファイルへのパス>';
• $SSO['SP_CERT'] = '<SP 証明書ファイルへのパス>';
• $SSO['IDP_CERT'] = '<IDP 証明書ファイルへのパス>';
• $SSO['SETTINGS']

$SSO['SETTINGS']の一部として設定できるのは、次のオプションです。

• strict
• baseurl
• compress
• contactPerson
• organization
• sp (このリストで指定されたオプションのみ)
  • attributeConsumingService
  • x509certNew
• idp (このリストで指定されたオプションのみ)
  • singleLogoutService (オプションは 1 つだけ)
  • responseUrl
  • certFingerprint
  • certFingerprintAlgorithm
  • x509certMulti
• security (このリストで指定されたオプションのみ)
  • signMetadata
  • wantNameId
  • requestedAuthnContext
  • requestedAuthnContextComparison
  • wantXMLValidation
  • relaxDestinationValidation
  • destinationStrictlyMatches
  • rejectUnsolicitedResponsesWithInResponseTo
  • signatureAlgorithm
  • digestAlgorithm
  • lowercaseUrlencoding

他のすべてのオプションはデータベースから取得され、オーバーライドすることはできません。 debugオプションは無視されます。

さらに、Zabbix UIがプロキシまたはロードバランサーの背後にある場合は、カスタムのuse_proxy_headersオプションを使用できます。

• false (デフォルト) - オプションを無効に;
• true - use X-Forwarded-* ベースURLを構築するためのHTTPヘッダー.

ロードバランサーを使用してZabbixインスタンスに接続する場合に、ロードバランサーはTLS/SSLを使用し、Zabbixは使用しない場合は、次のように「baseurl」「strict」および「use_proxy_headers」パラメーターを指定する必要があります。

$SSO['SETTINGS'] = [
           'strict' => false,
           'baseurl' => 'https://zabbix.example.com/zabbix/',
           'use_proxy_headers' => true
       ];

設定例:

$SSO['SETTINGS'] = [
           'security' => [
               'signatureAlgorithm' => 'http://www.w3.org/2001/04/xmldsig-more#rsa-sha384'
               'digestAlgorithm' => 'http://www.w3.org/2001/04/xmldsig-more#sha384',
               // ...
           ],
           // ...
       ];

Kerberos/ADFS を使用したWebインターフェース設定

Zabbix Webインターフェースの設定ファイル(zabbix.conf.php) を使用して、Kerberos認証とADFSによるSSOを設定できます:

$SSO['SETTINGS'] = [
           'security' => [
               'requestedAuthnContext' => [
                   'urn:oasis:names:tc:SAML:2.0:ac:classes:Kerberos',
               ],
               'requestedAuthnContextComparison' => 'exact'
           ]
       ]; 

この場合、SAML 構成の SP 名 ID フィールドで次のように設定します:

urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified